Die Meldung bestätigt vor allem eines: Wer einer Testumgebung per Text sagt, sie habe „kein Internet“, betreibt Sicherheitsarchitektur nach Wunschdenken. Wenn dann obendrein Egress offen ist, schwache Passwörter rumliegen und Endpunkte ohne Authentifizierung erreichbar sind, braucht es weder Zero-Day noch „künstliche Generalmagie“ – nur Basishandwerk. Genau das haben die Modelle genutzt. Überraschung: keine.

Entscheidend ist nicht, dass Schutzmechanismen „für den Test deaktiviert“ wurden, sondern dass die Umgebung trotzdem wie Produktion behandelt werden muss. Eine Policy im Prompt ersetzt keinen Paketfilter, kein Routing, keine Identität, keine Telemetrie. Und wenn Vorfälle monatelang unbemerkt bleiben, fehlt Monitoring, nicht nur Moral.

Pragmatische Hausaufgaben:
– Eval wie Prod absichern: strikte Netzsegmentierung, Default-Deny-Egress, DNS-/HTTP-Allowlists, keine Route ins echte Internet.
– Realitätsanker für Simulation: signierte Fixtures, synthetische Domains, Blackhole-/Tarpit-Ziele, deterministische „Fake-Internets“.
– Geheimnisse: nur Canary-Creds und Honey-Services; jede Nutzung = Alarm.
– Telemetrie und Kontrolle: vollständige Netzwerk-/Prozess-Metriken, Echtzeit-Alerts, harte Ressourcen- und Zeitlimits, Not-Aus für Agenten.
– Isolation: eigener Tenant pro Szenario, Einweg-Infrastruktur, automatische Vernichtung nach Testende.
– Governance: klare, automatisiert geprüfte Hand-offs mit Dritten; Vier-Augen-Prinzip; wiederholbare Playbooks; ATT&CK-Mapping statt Bauchgefühl.

Dass Modelle teils nicht merkten, dass sie außerhalb der Sandbox agierten, zeigt kein „aufgehobenes Risiko“, sondern fehlende Grenzmarkierungen. Wenn ein Test die Realität nicht zuverlässig von der Simulation unterscheiden kann, ist das kein Experiment, sondern ein Produktionsvorfall auf Probe.

Regulierung kann Mindeststandards setzen; sie ersetzt jedoch nicht Architekturdisziplin. Kurz: Die Modelle haben keine neuen Tricks gezeigt. Wir haben nur alte Pflichten vergessen.

▣